{"id":38686,"date":"2019-10-31T22:25:18","date_gmt":"2019-10-31T19:25:18","guid":{"rendered":"https:\/\/prohoster.info\/blog\/alternativa-tsentru-sertifikatsii-ot-microsoft\/"},"modified":"2019-10-31T22:25:18","modified_gmt":"2019-10-31T19:25:18","slug":"alternativa-tsentru-sertifikatsii-ot-microsoft","status":"publish","type":"post","link":"https:\/\/prohoster.info\/cs\/blog\/administrirovanie\/alternativa-tsentru-sertifikatsii-ot-microsoft","title":{"rendered":"Alternativa certifika\u010dn\u00edmu centru od Microsoftu","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

U\u017eivatel\u016fm nelze d\u016fv\u011b\u0159ovat. V\u011bt\u0161inou jsou l\u00edn\u00ed a m\u00edsto bezpe\u010dnosti vol\u00ed pohodl\u00ed. Podle statistik 21 % si zapisuje sv\u00e9 pracovn\u00ed hesla na pap\u00edr, 50 % pou\u017e\u00edv\u00e1 stejn\u00e1 hesla pro pracovn\u00ed a osobn\u00ed slu\u017eby.<\/p>\n

Prost\u0159ed\u00ed je tak\u00e9 nep\u0159\u00e1telsk\u00e9. 74 % organizac\u00ed povoluje p\u0159in\u00e1\u0161et do pr\u00e1ce osobn\u00ed za\u0159\u00edzen\u00ed a p\u0159ipojovat je k firemn\u00ed s\u00edti. 94 % u\u017eivatel\u016f nedok\u00e1\u017ee rozli\u0161it skute\u010dn\u00fd e-mail od phishingov\u00e9ho, 11 % kliklo na p\u0159\u00edlohy.<\/p>\n

V\u0161echny tyto probl\u00e9my \u0159e\u0161\u00ed podnikov\u00e1 infrastruktura ve\u0159ejn\u00fdch kl\u00ed\u010d\u016f (PKI), kter\u00e1 zaji\u0161\u0165uje \u0161ifrov\u00e1n\u00ed a autentizaci e-mail\u016f, a hesla nahrazuje digit\u00e1ln\u00edmi certifik\u00e1ty. Tuto infrastrukturu lze nasadit na Windows Server. Podle popisu od Microsoftu<\/a><\/noindex>, slu\u017eba Active Directory Certificate Services (AD CS) je server, kter\u00fd umo\u017e\u0148uje vytvo\u0159it v organizaci PKI a pou\u017e\u00edvat kryptografii s ve\u0159ejn\u00fdmi kl\u00ed\u010di, digit\u00e1ln\u00ed certifik\u00e1ty a digit\u00e1ln\u00ed podpisy.<\/p>\n

Ale \u0159e\u0161en\u00ed od Microsoftu je pom\u011brn\u011b n\u00e1kladn\u00e9.
\n<\/a><\/noindex><\/p>\n

Celkov\u00e9 n\u00e1klady na vlastnictv\u00ed pro soukrom\u00e9 certifika\u010dn\u00ed centrum od Microsoftu<\/h1>\n

\n\"Alternativa
\nSrovn\u00e1n\u00ed n\u00e1klad\u016f na vlastnictv\u00ed Microsoft CA a GlobalSign AEG. Zdroj<\/a><\/noindex><\/i><\/p>\n

V mnoha situac\u00edch je v\u00fdhodn\u011bj\u0161\u00ed a levn\u011bj\u0161\u00ed vytvo\u0159it stejn\u00e9 soukrom\u00e9 certifika\u010dn\u00ed centrum, ale s extern\u00edm \u0159\u00edzen\u00edm. Tento probl\u00e9m \u0159e\u0161\u00ed GlobalSign Auto Enrollment Gateway (AEG). Z celkov\u00fdch n\u00e1klad\u016f na vlastnictv\u00ed se okam\u017eit\u011b odstran\u00ed n\u011bkolik polo\u017eek (n\u00e1kup vybaven\u00ed, n\u00e1klady na podporu, \u0161kolen\u00ed person\u00e1lu atd.). \u00daspora m\u016f\u017ee p\u0159es\u00e1hnout 50 % z celkov\u00fdch n\u00e1klad\u016f na vlastnictv\u00ed<\/a><\/noindex>.<\/p>\n

Co je AEG<\/h1>\n

\n\"Alternativa
\n
\nAuto Enrollment Gateway<\/a><\/noindex> (AEG) je softwarov\u00e1 slu\u017eba, kter\u00e1 funguje jako br\u00e1na mezi certifika\u010dn\u00edmi slu\u017ebami SaaS GlobalSign a podnikov\u00fdm prost\u0159ed\u00edm Windows.<\/p>\n

AEG se integruje s Active Directory, co\u017e organizac\u00edm umo\u017e\u0148uje automatizovat registraci, p\u0159\u00edpravu a spr\u00e1vu digit\u00e1ln\u00edch certifik\u00e1t\u016f GlobalSign v prost\u0159ed\u00ed Windows. Nahrazen\u00edm intern\u00edch certifika\u010dn\u00edch center slu\u017ebami GlobalSign zvy\u0161uj\u00ed podniky bezpe\u010dnost a sni\u017euj\u00ed n\u00e1klady na spr\u00e1vu komplikovan\u00e9ho a n\u00e1kladn\u00e9ho intern\u00edho certifika\u010dn\u00edho centra Microsoft.<\/p>\n

Slu\u017eby certifikace GlobalSign SaaS jsou spolehliv\u011bj\u0161\u00ed variantou ve srovn\u00e1n\u00ed se slab\u00fdmi a ne\u0159\u00edzen\u00fdmi certifik\u00e1ty na vlastn\u00ed infrastruktu\u0159e. Eliminace nutnosti spr\u00e1vy v\u00fdpo\u010detn\u011b n\u00e1ro\u010dn\u00fdch intern\u00edch CA sni\u017euje celkov\u00e9 n\u00e1klady na vlastnictv\u00ed PKI a tak\u00e9 riziko syst\u00e9mov\u00fdch selh\u00e1n\u00ed.<\/p>\n

Podpora protokol\u016f SCEP a ACME roz\u0161i\u0159uje mo\u017enosti podpory i mimo Windows, v\u010detn\u011b automatizovan\u00e9 distribuce certifik\u00e1t\u016f pro servery Linux, mobiln\u00ed, s\u00ed\u0165ov\u00e1 a dal\u0161\u00ed za\u0159\u00edzen\u00ed, stejn\u011b jako pro po\u010d\u00edta\u010de Apple OSX registrovan\u00e9 v Active Directory.<\/p>\n

Zv\u00fd\u0161en\u00e1 bezpe\u010dnost<\/h3>\n

\nKrom\u011b \u00faspor rozpo\u010dtu zlep\u0161uje extern\u00ed spr\u00e1va PKI bezpe\u010dnost syst\u00e9mu. jak uv\u00e1d\u00ed studie Aberdeen Group, certifik\u00e1ty se st\u00e1le \u010dast\u011bji st\u00e1vaj\u00ed ter\u010dem \u00fato\u010dn\u00edk\u016f: ti \u00fasp\u011b\u0161n\u011b vyu\u017e\u00edvaj\u00ed zn\u00e1m\u00e9 zranitelnosti, jako jsou nespolehliv\u00e9 self-signed certifik\u00e1ty, slab\u00e9 \u0161ifrov\u00e1n\u00ed a objemn\u00e9 mechanismy odvol\u00e1n\u00ed. Krom\u011b toho \u00fato\u010dn\u00edci zvl\u00e1dli slo\u017eit\u011bj\u0161\u00ed exploity, jako je podvodn\u00e9 vyd\u00e1v\u00e1n\u00ed certifik\u00e1t\u016f od d\u016fv\u011bryhodn\u00fdch CA a pad\u011bl\u00e1n\u00ed certifik\u00e1t\u016f pro podepisov\u00e1n\u00ed k\u00f3du.<\/p>\n

\u201eV\u011bt\u0161ina podnik\u016f nedostate\u010dn\u011b aktivn\u011b spravuje rizika spojen\u00e1 s t\u011bmito \u00fatoky a nen\u00ed p\u0159ipravena rychle reagovat na kompromitaci, \u2014 napsal<\/a><\/noindex> Derek E. Brink, viceprezident a v\u011bdeck\u00fd pracovn\u00edk v oblasti IT bezpe\u010dnosti v Aberdeen Group. \u2014 Poskytov\u00e1n\u00edm podnik\u016fm mo\u017enosti p\u0159edat opera\u010dn\u00ed aspekty spr\u00e1vy certifik\u00e1t\u016f do rukou expert\u016f, p\u0159i\u010dem\u017e si zachov\u00e1vaj\u00ed firemn\u00ed kontrolu nad skupinov\u00fdmi politikami v Active Directory, se GlobalSign sna\u017e\u00ed zajistit budouc\u00ed r\u016fst vyu\u017e\u00edv\u00e1n\u00ed certifik\u00e1t\u016f a \u0159e\u0161it praktick\u00e9 ot\u00e1zky bezpe\u010dnosti a d\u016fv\u011bry v efektivn\u00edm a ekonomick\u00e9m modelu nasazen\u00ed.\u201c<\/p>\n

Jak funguje AEG<\/h1>\n

\n\"Alternativa
\n
\nTypick\u00fd syst\u00e9m s AEG se skl\u00e1d\u00e1 ze \u010dty\u0159 kl\u00ed\u010dov\u00fdch komponent\u016f, kter\u00e9 zaji\u0161\u0165uj\u00ed p\u0159enos spr\u00e1vn\u00fdch certifik\u00e1t\u016f na spr\u00e1vn\u00e1 p\u0159\u00edstupov\u00e1 m\u00edsta:<\/p>\n

    \n
  1. Software AEG na serveru Windows.\n<\/li>\n
  2. Servery Active Directory nebo dom\u00e9nov\u00e9 \u0159adi\u010de, kter\u00e9 umo\u017e\u0148uj\u00ed spr\u00e1vc\u016fm \u0159\u00eddit a uchov\u00e1vat informace o prost\u0159edc\u00edch.\n<\/li>\n
  3. Koncov\u00e9 body: u\u017eivatel\u00e9, za\u0159\u00edzen\u00ed, servery a pracovn\u00ed stanice \u2014 prakticky jak\u00fdkoli objekt, kter\u00fd je \"spot\u0159ebitelem\" digit\u00e1ln\u00edch certifik\u00e1t\u016f.\n<\/li>\n
  4. Certifika\u010dn\u00ed centrum GlobalSign neboli GCC, kter\u00e9 stoj\u00ed na vrcholu spolehliv\u00e9 platformy pro vyd\u00e1v\u00e1n\u00ed a spr\u00e1vu certifik\u00e1t\u016f. Zde se generuj\u00ed certifik\u00e1ty.<\/li>\n<\/ol>\n

    \nT\u0159i ze \u010dty\u0159 uveden\u00fdch komponent\u016f se nach\u00e1zej\u00ed v m\u00edstn\u00edm prost\u0159ed\u00ed u klienta, \u010dtvrt\u00fd je v cloudu.<\/p>\n

    Nejprve se koncov\u00e9 body p\u0159ednastavuj\u00ed pomoc\u00ed skupinov\u00fdch politik: nap\u0159\u00edklad kontrola certifik\u00e1tu pro autentizaci u\u017eivatele, po\u017eadavek S\/MIME na certifik\u00e1t a tak d\u00e1le \u2014 pro n\u00e1sledn\u00e9 p\u0159ipojen\u00ed k serveru AEG. P\u0159ipojen\u00ed prob\u00edh\u00e1 bezpe\u010dn\u011b p\u0159es HTTPS.<\/p>\n

    Server AEG pos\u00edl\u00e1 po\u017eadavek do Active Directory p\u0159es LDAP, aby z\u00edskal seznam \u0161ablon certifik\u00e1t\u016f pro tyto koncov\u00e9 body, a zas\u00edl\u00e1 klient\u016fm tento seznam spolu s um\u00edst\u011bn\u00edm certifika\u010dn\u00edho centra. Po obdr\u017een\u00ed t\u011bchto pravidel se koncov\u00e9 body znovu p\u0159ipojuj\u00ed k serveru AEG, tentokr\u00e1t za \u00fa\u010delem \u017e\u00e1dosti o skute\u010dn\u00e9 certifik\u00e1ty. AEG pak vytv\u00e1\u0159\u00ed API vol\u00e1n\u00ed s uveden\u00fdmi parametry a pos\u00edl\u00e1 je do certifika\u010dn\u00edho centra GlobalSign neboli GCC k dal\u0161\u00edmu zpracov\u00e1n\u00ed.<\/p>\n

    Nakonec serverov\u00e1 \u010d\u00e1st GCC zpracov\u00e1v\u00e1 po\u017eadavky, obvykle b\u011bhem n\u011bkolika sekund, a pos\u00edl\u00e1 odpov\u011b\u010f API spolu s certifik\u00e1tem, kter\u00fd bude na koncov\u00fdch bodech nainstalov\u00e1n na po\u017e\u00e1d\u00e1n\u00ed.<\/p>\n

    Cel\u00fd proces trv\u00e1 n\u011bkolik sekund a m\u016f\u017ee b\u00fdt pln\u011b automatizov\u00e1n nastaven\u00edm koncov\u00fdch bod\u016f pro automatick\u00e9 z\u00edsk\u00e1v\u00e1n\u00ed certifik\u00e1t\u016f prost\u0159ednictv\u00edm skupinov\u00fdch politik.<\/p>\n

    Unik\u00e1tn\u00ed vlastnosti AEG<\/h4>\n

    <\/p>\n